Comments 17
Нужно внести ясность: уязвимость сработает только если ММС автоматически загружается (google hangouts и подобние). В противоположном случае, нужно вмешательство юзера. Возможен быстрый фикс с устранением автозагрузки с приложений, для версий андроида ниже последней.
На устройствах с ОС версии 4.3 (Jelly Bean) и позднее провести подобную атаку будет более затруднительно.
Простите, что значит «более затруднительно»? Это значит можно или нельзя?
Можно, но эксплойт будет ограничен sandbox'ом приложения для работы с MMS, т.е. будет работать с сильно урезанными правами (чтение/отправка сообщений, доступ к адресной книге и что там ещё выставлено). В случае младших версий ОС доступ к системе будет полным.
П.С.: Для CyanogenMod 12.0 и 12.1 уязвимость пофиксена, для 11-й версии обещают пофиксить к концу недели.
П.С.: Для CyanogenMod 12.0 и 12.1 уязвимость пофиксена, для 11-й версии обещают пофиксить к концу недели.
UFO just landed and posted this here
А кто вообще пользуется этими mms в стандартных сообщениях или Hangouts? :) И в чем сложность снять одну галку?
Вот мне тоже интересно: где и зачем сейчас нужны MMS'ки со всеми своими ограничениями на размеры пересылаемых файлов и дикой стоимостью? Проще и дешевле кидаться разнокалиберными файлами и большими текстами через любой мессенджер, ну или, на крайняк, почту. Тем более, что уж почтовые клиенты были в телефонах еще тогда, когда никакого Android'а и в природе не существовало. Хотя интернет тогда был дороже.
Расцвет MMS пришёлся на 2008, когда под «любым мессенджером» понималась разве что ICQ. Ограничение в 300 килобайт было вызвано ограничениями на WAP-шлюзах. GSM-операторы тогда добились того, что мобила завелась у каждого землянина с доходами от $100 — чего не скажешь о Email-адресах. А Андроид тогда только-только появился.
Хоронить технологии вот так вот сплеча не надо. Вот пример — в современных смартфонах на «на, отвали» реализовали работу с SIM toolkit («SIM-меню»). В результате у абонента нет простого способа узнать о том, сколько ещё денег на счету осталось — и в ответ оператор вбивает кривой костыль.
Просто Google надо научиться поддерживать стандарты, даже если они дряхлые. А если им неохота — пусть оставляют в Андроиде только чистый LTE, а наследие GSM пусть будет в прошлом. Но они так не сделают, поскольку им продажи важнее.
Хоронить технологии вот так вот сплеча не надо. Вот пример — в современных смартфонах на «на, отвали» реализовали работу с SIM toolkit («SIM-меню»). В результате у абонента нет простого способа узнать о том, сколько ещё денег на счету осталось — и в ответ оператор вбивает кривой костыль.
Просто Google надо научиться поддерживать стандарты, даже если они дряхлые. А если им неохота — пусть оставляют в Андроиде только чистый LTE, а наследие GSM пусть будет в прошлом. Но они так не сделают, поскольку им продажи важнее.
Да я не хороню технологию, мне просто действительно интересно, зачем оно сейчас нужно. Просто я последний раз пользовался MMS году в 2003-ем, когда надо было срочно перекинуть фотки с телефона (SE T610 это был тогда кажись) на комп, а ИК приемника, Bluetooth'а или USB дата-кабеля не было. Причем MMS можно было отправить прямо на e-mail, и стоило это в 2 раза дешевле, чем на другой телефон.
Что касается SIM-меню, то для меня опять-таки загадка, зачем его вообще придумали. Помню, там было полно каких-то тупых анекдотов и гороскопов по 30 рублей за штуку, и ведь кто-то их покупал… Баланс там тоже был, но по мне, так проще было на быстрый набор повесить *100# (тогда баланс узнавался за одно удержание кнопки, а не кучу менюшек-подменюшек). Сейчас вообще узнать баланс не проблема: есть куча программ с виджетами на экране, уведомлениями в шторке и т.д., работающих как через личные кабинеты операторов, так и через USSD команды.
Что касается SIM-меню, то для меня опять-таки загадка, зачем его вообще придумали. Помню, там было полно каких-то тупых анекдотов и гороскопов по 30 рублей за штуку, и ведь кто-то их покупал… Баланс там тоже был, но по мне, так проще было на быстрый набор повесить *100# (тогда баланс узнавался за одно удержание кнопки, а не кучу менюшек-подменюшек). Сейчас вообще узнать баланс не проблема: есть куча программ с виджетами на экране, уведомлениями в шторке и т.д., работающих как через личные кабинеты операторов, так и через USSD команды.
MMS — составная часть GSM/3G. Хочется вам забабахать девайс с SIM-картой, по которому можно и разговаривать — извольте реализовать.
Гугль же реализовал всё «ненужное» «для галочки» и, видимо, толком не протестировал — за что и поплатился. Притом совершенно понятно, почему они не пошли по сценарию iPad, где весь не связанный с передечей данных сотовый функционал не реализован совсем — это бы повредило распространению Android.
Про SIM-меню — так это вы знете, что баланс проверяется данной USSD-командой у данного оператора. При приезде в другую страну вас могут ждать сюрпризы. Навскидку — у южноафриканского MTN баланс проверяется кодом *141#.
Гугль же реализовал всё «ненужное» «для галочки» и, видимо, толком не протестировал — за что и поплатился. Притом совершенно понятно, почему они не пошли по сценарию iPad, где весь не связанный с передечей данных сотовый функционал не реализован совсем — это бы повредило распространению Android.
Про SIM-меню — так это вы знете, что баланс проверяется данной USSD-командой у данного оператора. При приезде в другую страну вас могут ждать сюрпризы. Навскидку — у южноафриканского MTN баланс проверяется кодом *141#.
Hangouts уже не в первый раз ломает работу с сообщениями.
Пока ждем патч.
Если в Вашем Android смартфоне СМС-приложении не имеет опции отключения автозагрузки MMS, то поставьте Приложение «Чат» от Google https://play.google.com/store/apps/details?id=com.google.android.apps.messaging. И укажите его приложением по-умолчанию для СМС, В нем можно отключить автозагрузку содержимого MMS.
Если в Вашем Android смартфоне СМС-приложении не имеет опции отключения автозагрузки MMS, то поставьте Приложение «Чат» от Google https://play.google.com/store/apps/details?id=com.google.android.apps.messaging. И укажите его приложением по-умолчанию для СМС, В нем можно отключить автозагрузку содержимого MMS.
Встроенного на веб-страницы мультимедиа это ведь тоже касается? А то все об MMS да об MMS…
Sign up to leave a comment.
Почти миллиард Android-устройств уязвимы к получению удалённого доступа к ним через MMS